Ultimo aggiornamento:14 Agosto 2026
- Verifica i processi sospetti nel Monitoraggio Attività cercando nomi come "SearchMine", "AnySearch" o processi senza firma Apple.
- Controlla le estensioni del browser per individuare componenti aggiunti non autorizzati che reindirizzano le ricerche a motori ignoti.
- Analizza i file di avvio in
/Library/LaunchAgentso~/Library/LaunchAgentsper trovare file .plist con nomi casuali.
Nel panorama della cybersecurity per macOS, il 2026 ha segnato un punto di svolta con l'emergere di ClickLock 2026. Non siamo più di fronte a un semplice adware, ma a un ecosistema di malware modulari capaci di mutare forma per evitare il rilevamento. Molti utenti Mac, convinti di essere immuni grazie a Gatekeeper e XProtect, si trovano a essere vittime di varianti geografiche mirate, in particolare in Italia, dove le campagne di phishing sono diventate estremamente localizzate.
In questa guida completa, analizzeremo l'evoluzione tecnica di ClickLock da giugno ad agosto 2026, sviscereremo le differenze tra la v1 e la v2, identificheremo i cloni come Infiniti Stealer e forniremo le strategie di difesa più aggiornate per proteggere i vostri dati sensibili. Se sospetti di essere già infetto, ti consigliamo di consultare la nostra guida su come rimuovere ClickLock dal Mac per una pulizia profonda e sicura.
Timeline Evolutiva di ClickLock (Giugno - Agosto 2026)
L'evoluzione di ClickLock nel corso dell'estate 2026 è stata rapidissima. I creatori del malware hanno implementato un ciclo di aggiornamento quasi settimanale, rendendo obsoleti i database delle firme degli antivirus tradizionali in tempi record.
A giugno 2026, ClickLock era prevalentemente distribuito tramite pacchetti software "craccati" o falsi aggiornamenti di Flash Player (ancora incredibilmente efficaci su utenze meno aggiornate). Il focus era il browser hijacking e il furto di cookie di sessione. Tuttavia, verso la fine del mese, è apparsa la prima traccia di quella che oggi definiamo ClickLock v2, caratterizzata da un modulo di persistenza molto più aggressivo.
Nel mese di luglio 2026, abbiamo assistito a una diversificazione dei nomi. Il malware ha iniziato a presentarsi sotto alias come AnySearch e SearchMine. Questa strategia non serviva solo a confondere l'utente, ma a frammentare le segnalazioni nelle community di sicurezza, rendendo più difficile per gli analisti collegare i diversi campioni allo stesso autore. In questo periodo, è emersa la variante principale nota come Infiniti Stealer, un clone quasi perfetto ma ottimizzato per l'estrazione di wallet di criptovalute.
L'apice della sofisticazione è stato raggiunto ad agosto 2026 con l'introduzione del vettore "Falso CAPTCHA Cloudflare". Invece di chiedere all'utente di installare un file .dmg, il malware utilizza una pagina web che imita perfettamente la verifica di sicurezza di Cloudflare. Una volta cliccato "Verifica che sei un umano", viene scaricato un piccolo script JavaScript che sfrutta vulnerabilità zero-day (o quasi) per forzare l'esecuzione di un binario malevolo nel contesto dell'utente, bypassando molte delle difese against new variants standard di macOS.
ClickLock v1 vs ClickLock v2: Analisi Comparativa delle Differenze
Per capire come proteggersi, è fondamentale distinguere tra la versione legacy (v1) e la nuova iterazione (v2). Mentre la prima era un fastidioso adware con capacità di spionaggio, la seconda è un vero e proprio Trojan Stealer di livello professionale.
| Caratteristica | ClickLock v1 (Legacy) | ClickLock v2 (2026 Edition) | Impatto sulla Sicurezza |
|---|---|---|---|
| Vettore di Infezione | Falsi installer software / DMG | Falsi CAPTCHA Cloudflare / JS Injection | Molto più insidioso e invisibile |
| Metodo di Persistenza | Semplici file .plist in LaunchAgents | Iniezione in processi di sistema / Hidden Daemons | Difficoltà di rimozione manuale elevata |
| Obiettivo Principale | Adware e Reindirizzamento Ricerche | Furto Credenziali, Wallet, Sessioni MFA | Rischio di furto d'identità e finanziario |
| Rilevamento AV | Rilevato dalla maggior parte degli AV | FDP (False Negative) frequenti / Polimorfismo | Richiede analisi euristica e comportamentale |
| Target Geografico | Globale / Generico | Mirato (Campagne localizzate in Italia/EU) | Phishing in lingua italiana impeccabile |
L'evoluzione del modulo di offuscamento
La ClickLock v1 utilizzava una semplice compressione dei dati e una cifratura XOR di base per nascondere le proprie stringhe di comando. Un analista esperto poteva decifrare il codice in pochi minuti utilizzando strumenti come CyberChef.
La ClickLock v2, invece, adotta una tecnica di caricamento a stadi (staged loading). Il primo stadio è un file quasi insignificante che non contiene codice malevolo evidente, ma si limita a contattare un server C2 (Command & Control) per scaricare il secondo stadio direttamente nella memoria RAM (fileless malware). Questo significa che non esiste un "file virus" permanente sul disco che l'antivirus possa scansionare, rendendo la protezione contro versioni nuove estremamente complessa.
Nuove capacità di esfiltrazione dati
Se la v1 si limitava a cambiare il motore di ricerca predefinito di Safari o Chrome, la v2 implementa un modulo di scraping della memoria. Il malware è in grado di intercettare le password mentre vengono digitate (keylogging leggero) e, cosa più grave, di copiare l'intero database dei Local Storage dei browser. Questo permette agli attaccanti di rubare i token di sessione, bypassando l'autenticazione a due fattori (2FA) perché il server crede che l'attaccante sia l'utente già autenticato.
Infiniti Stealer: Il Clone Pericoloso e le Varianti Geografiche
Uno degli aspetti più preoccupanti dell'ecosistema ClickLock nel 2026 è la nascita di "famiglie" derivate. La più nota è senza dubbio Infiniti Stealer. Tecnicamente, Infiniti non è un malware a sé stante, ma una variante principale di ClickLock a cui è stato aggiunto un modulo specifico per la scansione di file .dat e .wallet presenti nelle cartelle utente di macOS.
Infiniti Stealer si differenzia per una maggiore aggressività nel consumo di risorse. Mentre ClickLock v2 cerca di essere invisibile, Infiniti Stealer può causare rallentamenti del sistema a causa della scansione intensiva del disco alla ricerca di chiavi private di Bitcoin e Ethereum. Questo lo rende più facile da individuare tramite il Monitoraggio Attività, ma molto più letale una volta che ha avuto accesso al file system.
com.apple.system.update.agent). Se notate un consumo anomalo di CPU da parte di processi sconosciuti, agite immediatamente.
L'attacco mirato al mercato Italiano
Abbiamo riscontrato un incremento massiccio di varianti geografiche che targettizzano specificamente gli utenti in Italia. Queste versioni non si limitano a tradurre le pagine di phishing, ma utilizzano esche basate su servizi locali. Esempi comuni includono:
La estorsione tramite falsi avvisi dell'Agenzia delle Entrate o notifiche di "spedizioni bloccate" di corrieri nazionali molto diffusi. Una volta che l'utente clicca sul link per "sbloccare il pacco", viene indirizzato a una pagina con il già citato falso CAPTCHA Cloudflare. Questo livello di personalizzazione aumenta drasticamente il tasso di conversione dell'infezione, poiché l'utente si sente in un contesto familiare e sicuro.
Inoltre, queste varianti italiane sono ottimizzate per interagire con le versioni di macOS più comuni in Italia, spesso sfruttando il fatto che molti utenti non aggiornano tempestivamente il sistema operativo per paura di incompatibilità con vecchi software di fatturazione o gestionali specifici per PMI.
Nomi Alternativi: AnySearch, SearchMine e la Strategia del Camuffamento
Per confondere i sistemi di analisi semantica e i ricercatori di sicurezza, i creatori di ClickLock hanno implementato una strategia di naming dinamico. Invece di chiamare il malware sempre allo stesso modo, il software cambia nome a seconda della fonte di download o della regione dell'utente.
I nomi più ricorrenti riscontrati tra giugno e agosto 2026 sono i seguenti
- AnySearch: Questa variante si presenta come un "ottimizzatore di ricerca" che promette di trovare risultati più veloci e precisi. È la versione più orientata all'adware, ma nasconde al suo interno il modulo stealer di ClickLock v2.
- SearchMine: Molto simile a AnySearch, ma con un focus maggiore sull'estrazione di dati dai moduli di e-commerce. Se fate molti acquisti online, SearchMine è la variante che più probabilmente tenterà di intercettare i vostri dati di pagamento.
- MacOptimizer Pro (Fake): Un classico travestimento. Il malware si installa fingendo di essere un tool di pulizia del sistema, chiedendo all'utente di concedere i "Privilegi di Accessibilità" nelle impostazioni di sistema. Una volta ottenuti questi permessi, il malware ha il controllo totale sulla tastiera e sullo schermo.
- CloudVerify: Il nome utilizzato specificamente per i vettori legati al falso CAPTCHA Cloudflare. Non appare come un'app installata, ma come un processo di background temporaneo.
Perché usare così tanti nomi? La risposta risiede nella Generative Engine Optimization (GEO) applicata al male. I creatori di malware sanno che gli utenti cercano su Google "come rimuovere AnySearch" o "cos'è SearchMine". Creando molteplici varianti con nomi diversi, gli attaccanti possono monitorare quali "esche" funzionano meglio e quali termini di ricerca stanno portando gli utenti a scoprire l'infezione, permettendo loro di aggiornare il codice per evitare di essere associati a una singola famiglia di malware.
Il Nuovo Vettore: Il Falso CAPTCHA Cloudflare Spiegato
Il vettore di infezione basato sul falso CAPTCHA Cloudflare è probabilmente l'innovazione più pericolosa di ClickLock 2026. Per capire come funziona, dobbiamo analizzare la psicologia dell'utente moderno.
Siamo abituati a vedere la schermata di verifica di Cloudflare ("Verifica che sei un umano") su migliaia di siti web ogni giorno. Questo ha creato un bias di fiducia. Quando un utente atterra su un sito compromesso e vede quella schermata, non sospetta nulla. Il processo di infezione avviene in quattro fasi quasi istantanee
- L'Esca: L'utente clicca su un link di phishing (es. "Sconto 80% Amazon" o "Notifica Spedizione") che lo porta a una landing page specchio.
- La Simulazione: La pagina carica un iframe che replica esattamente l'estetica, i colori e le animazioni di Cloudflare. L'utente vede il quadratino di spunta "Verifica che sei un umano".
- L'Iniezione: Al momento del click, non avviene una verifica, ma viene eseguito un JavaScript malevolo. Questo script non scarica un file .dmg visibile, ma utilizza una tecnica chiamata "Drive-by Download" per scaricare un piccolo payload cifrato in una cartella temporanea del sistema (
/tmp/o/private/var/). - L'Esecuzione: Il payload sfrutta un bug di gestione dei permessi di macOS (o induce l'utente a confermare un'operazione di "sistema" tramite un pop-up travestito da avviso di sicurezza) per installare il modulo di persistenza di ClickLock v2.
secure-verify-832.top invece di un sito legittimo), chiudete immediatamente la scheda.
Protezione contro le Versioni Nuove e Aggiornamenti di Sicurezza Apple
Apple non è rimasta a guardare. Tra luglio e agosto 2026, sono stati rilasciati diversi aggiornamenti di sicurezza per macOS (versioni point-release di Sonoma e Sequoia) che mirano a contrastare proprio le tecniche di ClickLock v2. Tuttavia, la sicurezza non può dipendere solo dal produttore.
Cosa ha fatto Apple (XProtect e Gatekeeper)
Apple ha aggiornato XProtect, il suo antivirus integrato, includendo nuove firme comportamentali per rilevare i processi che tentano di iniettare codice nella RAM senza un binario corrispondente su disco. Inoltre, è stata rafforzata la protezione della cartella /Library/LaunchAgents, richiedendo ora un'autorizzazione esplicita dell'utente tramite prompt di sistema molto più evidenti quando un'app tenta di creare un agente di avvio.
Tuttavia, i creatori di ClickLock hanno risposto utilizzando certificati di firma rubati. Firmando il malware con un certificato di uno sviluppatore Apple reale (ma compromesso), il malware riesce a superare il controllo di Gatekeeper, poiché il sistema "crede" che il software provenga da una fonte attendibile.
Strategie di Difesa Avanzata per l'Utente
Per ottenere una protezione reale contro le nuove varianti di ClickLock, è necessario adottare un approccio a più livelli. Non basta un singolo software, serve una strategia di "difesa in profondità".
Innanzitutto, è fondamentale mantenere il sistema operativo sempre aggiornato. Molti degli attacchi di agosto 2026 hanno avuto successo solo su Mac che non avevano installato gli ultimi patch di sicurezza. Se il tuo computer sembra rallentare dopo un aggiornamento, non tornare a versioni precedenti, ma impara a svuotare la cache del Mac senza rischi per ripristinare le prestazioni senza compromettere la sicurezza.
In secondo luogo, l'uso di un antivirus di qualità è ormai indispensabile, anche su Mac. Molti utenti pensano che macOS sia "immune", ma la realtà del 2026 ci dice il contrario. Un buon software di sicurezza non deve solo cercare "virus", ma deve analizzare il comportamento dei processi. Ad esempio, se un processo chiamato "SearchMine" inizia a leggere migliaia di file nella cartella ~/Library/Application Support/Google/Chrome in pochi secondi, l'antivirus deve bloccarlo immediatamente, a prescindere dal fatto che il file sia "firmato" o meno.
Come Riconoscere i Segnali di Infezione (Sintomi a confronto)
Spesso l'utente non si accorge di avere ClickLock v2 finché non è troppo tardi (ovvero quando le password vengono cambiate dagli hacker). Tuttavia, ci sono dei "segnali premonitori" che possono aiutarti a capire se il tuo Mac è compromesso.
| Sintomo | Livello di Allerta | Cosa sta succedendo a livello tecnico | Azione Consigliata |
|---|---|---|---|
| Cambio Motore di Ricerca | 🟡 Medio | L'adware ha modificato le preferenze del browser per dirottare il traffico verso SearchMine. | Controlla le impostazioni del browser e rimuovi estensioni sospette. |
| Pop-up di "Verifica Cloudflare" frequenti | 🟠 Alto | Il malware sta tentando di aggiornare il proprio payload o di scaricare nuovi moduli di spionaggio. | Esegui una scansione completa con un antivirus aggiornato al 2026. |
| Ventole del Mac al massimo a riposo | 🔴 Critico | Varianti come Infiniti Stealer stanno scansionando il disco alla ricerca di chiavi private o minando crypto. | Apri Monitoraggio Attività e termina i processi con CPU > 50% non riconosciuti. |
| Sincronizzazione Password anomala | 🔴 Critico | ClickLock v2 ha esfiltrato i cookie di sessione e sta accedendo ai tuoi account da un altro IP. | Cambia tutte le password principali e attiva la 2FA (App-based, non SMS). |
| Rallentamento Safari/Chrome all'avvio | 🟡 Medio | Il modulo di iniezione JS sta caricando gli script di tracciamento all'apertura del browser. | Svuota la cache del browser e verifica i file di LaunchAgents. |
L'analisi del Monitoraggio Attività: cosa cercare
Il Monitoraggio Attività è lo strumento più potente a disposizione dell'utente Mac per smascherare ClickLock. Ma cosa dobbiamo guardare esattamente? Non cercate solo "ClickLock", perché il malware non userà mai il suo vero nome.
Cercate processi che presentino queste caratteristiche
- Nomi pseudo-sistemistici: Processi come
com.apple.sys.update,sys-daemon-x86omdns-helper-pro. Se cliccate due volte sul processo e vedete che il percorso del file è in/Users/tuonome/Library/Application Support/e non in/System/Library/, è quasi certamente un malware. - Utilizzo anomalo di rete: Nella scheda "Rete", osservate se ci sono processi che inviano costantemente piccoli pacchetti di dati verso IP stranieri (spesso russi, cinesi o di paesi dell'est Europa). Questo è il segno che il malware sta "telefonando a casa" per inviare i vostri dati rubati.
- Processi "orfani": Processi che non hanno un'app corrispondente nella cartella Applicazioni. Se vedete
AnySearchattivo ma non avete mai installato un'app con questo nome, siete infetti.
Se riscontri che il tuo sistema è diventato estremamente lento a causa di questi processi, potrebbe essere utile capire se il problema è legato al malware o a un problema di sistema più ampio, come quando il Mac diventa lento dopo un aggiornamento, per evitare di fare diagnosi errate.
Guida alla Rimozione Manuale Avanzata (per Utenti Esperti)
Sebbene l'uso di un software professionale sia caldamente raccomandato (specialmente per rimuovere i moduli fileless), è possibile effettuare una prima pulizia manuale per fermare l'emorragia di dati. ATTENZIONE: Procedete con cautela, eliminare i file sbagliati in /Library può rendere il Mac instabile.
Fase 1: Terminazione dei Processi Malevoli
Aprite il Monitoraggio Attività, individuate i processi sospetti (AnySearch, SearchMine, o quelli pseudo-sistemistici citati sopra), selezionateli e cliccate sulla "X" in alto a sinistra. Scegliete "Uscita Forzata". Se il processo si riavvia istantaneamente, significa che è attivo un Watchdog (un processo secondario che sorveglia il principale). In questo caso, dovete terminare entrambi i processi quasi contemporaneamente.
Fase 2: Pulizia dei LaunchAgents e LaunchDaemons
ClickLock v2 sopravvive al riavvio grazie ai file .plist. Aprite il Finder, premete Cmd + Shift + G e navigate nei seguenti percorsi
~/Library/LaunchAgents(Agenti dell'utente)/Library/LaunchAgents(Agenti di sistema)/Library/LaunchDaemons(Demoni di sistema)
Cercate file con nomi casuali (es. com.a8f2z.plist) o nomi che richiamano i motori di ricerca sospetti. Trascinateli nel cestino. Nota importante: Non eliminate file che iniziano con com.apple... a meno che non abbiate la certezza assoluta che siano falsi (verificate il percorso del file all'interno del .plist usando un editor di testo).
Fase 3: Rimozione dei Profili di Configurazione
Una delle tecniche più subdole di ClickLock 2026 è l'installazione di un Profilo di Configurazione MDM (Mobile Device Management). Questo permette al malware di bloccare le impostazioni del browser, impedendovi di cambiare il motore di ricerca anche dopo aver rimosso l'app.
Andate in Impostazioni di Sistema $\rightarrow$ Privacy e Sicurezza $\rightarrow$ Profili (se la voce "Profili" non appare, significa che non ci sono profili installati). Se trovate un profilo che non avete installato voi (spesso chiamato "Admin Settings" o "Chrome Config"), selezionatelo e cliccate sul tasto "–" (meno) per rimuoverlo. Questo sbloccherà istantaneamente le impostazioni del browser.
Fase 4: Pulizia dei Browser e Cache
Infine, è necessario ripulire i browser. Rimuovete tutte le estensioni non riconosciute. In Chrome, andate in chrome://extensions e in Safari in Impostazioni $\rightarrow$ Estensioni. Dopo la rimozione, è fondamentale svuotare la cache e i cookie di tutti i browser per eliminare eventuali script di tracciamento residui che potrebbero essere stati iniettati nel Local Storage.
FAQ: Tutto quello che devi sapere su ClickLock 2026
Cos'è esattamente ClickLock 2026 e differisce dai vecchi adware?
Sì, differisce radicalmente. Mentre i vecchi adware si limitavano a mostrare pubblicità e cambiare la home page, ClickLock 2026 è un info-stealer polimorfico. Il suo obiettivo non è più guadagnare pochi centesimi con i click pubblicitari, ma rubare credenziali bancarie, sessioni di login di social network e chiavi private di wallet crypto, vendendole poi nel dark web.
Il falso CAPTCHA Cloudflare può infettare il Mac anche se non scarico nulla?
In teoria, il malware ha bisogno di un'esecuzione di codice. Tuttavia, attraverso tecniche di Drive-by Download e l'uso di vulnerabilità non patchate del browser o del sistema operativo, il download e l'esecuzione del primo stadio possono avvenire in modo quasi invisibile. Anche se non vedete un file .dmg apparire nella cartella Download, il payload potrebbe essere stato salvato in una cartella temporanea di sistema e attivato tramite uno script JS.
Infiniti Stealer è più pericoloso di ClickLock v2?
Essenzialmente sono la stessa "specie", ma Infiniti Stealer è una variante specializzata. Se ClickLock v2 è un ladro generico che ruba tutto ciò che trova, Infiniti Stealer è un "esperto di casseforti" focalizzato sulle criptovalute. Se non possiedi crypto, l'impatto di Infiniti sarà simile a quello di ClickLock; se invece possiedi wallet digitali sul Mac, Infiniti Stealer è estremamente più pericoloso.
Come posso sapere se le mie password sono state rubate da ClickLock?
Il modo più efficace per saperlo è monitorare gli accessi anomali nei tuoi account. Controlla la sezione "Dispositivi connessi" di Google, Facebook, Instagram e Amazon. Se vedi un accesso da un dispositivo o una località che non riconosci (spesso IP provenienti da server VPN o data center), è molto probabile che i tuoi cookie di sessione siano stati esfiltrati da ClickLock 2026.
Apple XProtect è sufficiente per fermare queste varianti?
XProtect è un'ottima prima linea di difesa, ma non è sufficiente per un utente a rischio. Essendo basato principalmente su firme e analisi comportamentali di base, ClickLock v2 riesce a bypassarlo usando il polimorfismo (cambiando il proprio codice ogni volta) e i certificati di firma rubati. XProtect è come una porta blindata, ma ClickLock 2026 è un ladro che ha rubato la chiave originale della porta.
Posso usare un antivirus gratuito per rimuovere ClickLock 2026?
Sì, molti antivirus gratuiti di alta qualità offrono scansioni euristiche capaci di rilevare ClickLock. Tuttavia, assicuratevi che il software sia aggiornato a agosto 2026 e che includa un modulo specifico per la rimozione di adware e PUP (Potentially Unwanted Programs). La rimozione manuale è possibile, ma un tool automatizzato è più sicuro per evitare di danneggiare il sistema.
- ClickLock 2026 è evoluto da adware a Info-Stealer polimorfico (v2).
- Il nuovo vettore principale è il Falso CAPTCHA Cloudflare, estremamente ingannevole.
- Esistono varianti pericolose come Infiniti Stealer (focalizzato su Crypto) e AnySearch/SearchMine.
- Le campagne in Italia sono mirate e utilizzano esche localizzate (Agenzia Entrate, Corrieri).
- La difesa richiede: Aggiornamenti macOS, Antivirus con analisi euristica, e attenzione ai link di phishing.
In conclusione, ClickLock 2026 rappresenta una sfida significativa per la sicurezza di macOS a causa della sua capacità di mutare e di sfruttare la fiducia degli utenti verso servizi come Cloudflare. La prevenzione rimane l'arma più potente, ma la capacità di riconoscere i sintomi precoci e di agire con strumenti di rimozione professionali può fare la differenza tra un semplice spavento e la perdita totale dei propri asset digitali.
Se sospetti che il tuo sistema sia ancora compromesso o se non sei sicuro della pulizia effettuata, la soluzione più sicura è affidarsi a strumenti di scansione specializzati. Per approfondire come proteggere al meglio il tuo computer, ti suggeriamo di consultare la nostra guida su come rimuovere un adware dal Mac. Per una protezione a lungo termine, ti consigliamo di scoprire qual è il miglior antivirus gratuito per Mac 2026, essenziale per bloccare le varianti polimorfiche prima che infettino il sistema. Infine, per una panoramica completa su tutte le minacce attuali, leggi la nostra guida definitiva alla sicurezza Mac.